Resumen

  • Connor Riley Moucka se declaró culpable de fraude informático, fraude electrónico, usurpación de identidad agravada y conspiración por una campaña desarrollada entre febrero y octubre de 2024.
  • El Departamento de Justicia afirma que credenciales robadas abrieron datos cloud de al menos 165 clientes de una empresa SaaS estadounidense que no identifica.
  • Los conspiradores sustrajeron miles de millones de registros y terabytes de información; las empresas afectadas atendían al menos a 100 millones de personas.
  • Cobraron más de 2,5 millones de dólares en rescates; Moucka obtuvo al menos 495.000 dólares y las empresas víctimas sufrieron más de 9,5 millones en pérdidas directas.
  • Mandiant vinculó en 2024 una campaña de unas 165 organizaciones con instancias de clientes Snowflake, sin hallar evidencia de una brecha en el entorno empresarial de Snowflake.
  • La sentencia está prevista para el 27 de octubre de 2026; siguen abiertos la reparación, la circulación de datos y el cierre de controles en cada cliente.

La coincidencia de escala es contexto, no una etiqueta judicial

El comunicado de Justicia evita nombrar al proveedor. Habla de una compañía SaaS con sede en Estados Unidos y describe el uso de credenciales sustraídas. Por ello no puede citarse como una declaración oficial de que Snowflake fue vulnerada. Tampoco identifica un fallo de software o una intrusión en los sistemas corporativos del proveedor.

La conexión pública nace del registro de respuesta a incidentes. Mandiant informó de que Snowflake y su equipo habían avisado a aproximadamente 165 organizaciones potencialmente expuestas tras accesos a instancias de clientes. La cifra, el periodo de 2024 y el tipo de datos encajan estrechamente con la conducta ahora admitida. Es una base sólida para analizar el límite operativo de Snowflake, no para atribuirle a Justicia una identificación que omitió.

Una declaración de culpabilidad tiene un alcance individual

Moucka aceptó cuatro cargos. Ese paso convierte en conducta reconocida lo que para él había sido materia de acusación. No resuelve por extensión la posición procesal de cualquier otra persona ni confirma todas las versiones publicadas sobre el grupo que Mandiant denomina UNC5537.

El siguiente hito llegará el 27 de octubre. El cargo de identidad agravada impone un mínimo obligatorio de dos años y los restantes permiten hasta treinta años de prisión. El máximo legal no es una estimación del fallo. Aún faltan la decisión del juez, posibles restituciones y una asignación más completa del daño.

El punto de entrada fue una identidad válida del cliente

Mandiant no encontró evidencia de que sus casos procedieran de una brecha del entorno empresarial de Snowflake. Rastreó el acceso a credenciales de clientes obtenidas por malware infostealer en equipos ajenos a Snowflake. Al menos el 79,7% de las cuentas usadas tenía una exposición previa y la infección relevante más antigua observada se remontaba a noviembre de 2020.

La combinación decisiva fue la ausencia de autenticación multifactor, contraseñas que seguían vigentes años después y falta de listas de redes permitidas. Un secreto antiguo podía autenticarse desde una ubicación no confiable y llegar a datos actuales. Ese mecanismo no exime a ningún actor, pero sitúa con precisión el control roto.

Cada denominador asigna un tipo de daño

Los 165 miden organizaciones clientes comprometidas. Los miles de millones miden filas o registros. Los 100 millones son personas atendidas por las compañías afectadas. Los 2,5 millones de dólares son rescates recibidos por la conspiración, los 495.000 corresponden al beneficio personal mínimo de Moucka y los 9,5 millones reflejan pérdidas directas empresariales sin incluir las de sus clientes.

Mezclarlos exageraría unas consecuencias y ocultaría otras. Una misma persona puede aparecer en múltiples registros; un cliente SaaS puede custodiar datos de millones; el proveedor puede no ser el propietario de esa información; y aseguradoras o consumidores pueden absorber costes no presentes en el cálculo oficial. La contabilidad del incidente necesita columnas, no una suma espectacular.

Las credenciales robadas funcionaron como inventario financiero

Un registro de infostealer conserva precio mientras el acceso siga vivo. Los atacantes pueden comprar o reunir grandes listados, probarlos contra servicios de alto valor y concentrarse en las cuentas que aún no exigen una segunda prueba. El coste marginal de reutilizar un secreto viejo es bajo; el rendimiento de una base de datos exportable es alto.

Cerrar esa economía exige revocar de inmediato credenciales expuestas, invalidar sesiones, imponer MFA resistente al phishing, inventariar cuentas de servicio y contratistas, limitar orígenes de red y alertar sobre consultas o descargas anómalas. Detectar malware en un portátil y vigilar un almacén de datos no pueden seguir siendo procesos sin conexión.

La responsabilidad compartida debe tener porcentajes

El proveedor decide qué capacidades de autenticación, registro y restricción ofrece y cuáles activa por defecto. El cliente administra permisos, excepciones, identidades externas y respuesta. El proveedor de identidad y los contratistas controlan otras piezas. Cuando nadie mide la cobertura completa, cada parte puede cumplir su procedimiento y dejar abierta la ruta real.

La prueba útil es cuantitativa: porcentaje de cuentas humanas y técnicas con MFA fuerte, credenciales fuera de plazo, administradores accesibles desde Internet, tiempo de revocación tras una alerta, umbrales de exportación y cierre de accesos al terminar un contrato. La disponibilidad de un control no equivale a su aplicación universal.

El proceso penal no elimina copias robadas

La admisión explica cómo la intrusión generó pagos y pérdidas. No demuestra que los datos hayan desaparecido, que no circulen en mercados criminales, que todas las personas hayan recibido aviso o que cada inquilino haya corregido su configuración. Tampoco incorpora al cálculo de 9,5 millones el perjuicio de al menos 100 millones de clientes finales.

El cierre tendrá dos dimensiones. La judicial avanzará con sentencia y restitución. La operativa requiere probar que una contraseña histórica ya no basta y que una extracción masiva se detecta antes de completar terabytes. Confundir ambas produciría una falsa sensación de final.

Fuentes